Le spectaculaire cambriolage d'octobre dernier a fait bien plus que vider une vitrine. Il a soulevé le voile sur une décennie de négligence en matière de sécurité informatique au sein du plus grand musée du monde. Derrière les chefs-d'œuvre, se cachait une infrastructure de protection digne d'un autre âge, un château de cartes numérique prêt à s'effondrer.
Quels mots de passe protégeaient les trésors du musée ?
Dès 2014, un audit mené par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) avait tiré la sonnette d'alarme. Le constat des experts était accablant : des mots de passe faibles permettaient de passer du réseau bureautique classique au réseau de sûreté ultra-sensible. Pour accéder au serveur gérant la vidéosurveillance, il suffisait de taper « LOUVRE ». Un logiciel de l'entreprise Thales était quant à lui protégé par le mot de passe... « THALES ».
Cette simplicité déconcertante offrait une porte d'entrée royale aux attaquants potentiels. Une fois infiltrés, ils pouvaient prendre le contrôle des caméras ou même modifier les droits d'accès des badges, et ce, potentiellement depuis l'extérieur du musée.
Pourquoi les systèmes informatiques étaient-ils si vulnérables ?
Au-delà des mots de passe, c'est toute l'architecture technique qui était à bout de souffle. Le musée s'appuyait sur des systèmes informatiques obsolètes, notamment des versions de Windows comme 2000, XP ou même Server 2003, dont le support par Microsoft a cessé depuis 2015. Sans mises à jour, ces systèmes sont des proies faciles pour les cybercriminels, truffés de vulnérabilités connues et non corrigées.
Un cas emblématique est celui du logiciel Sathi, développé par Thales, qui supervisait des éléments critiques comme la vidéosurveillance et le contrôle d'accès. Ce programme tournait encore sur un serveur Windows Server 2003 et ne bénéficiait plus d'aucun contrat de maintenance, une accumulation d'obsolescence qui mettait directement en péril la protection des œuvres et des millions de visiteurs annuels.
Les alertes ont-elles été ignorées par la direction ?
Cette situation n'est pas le fruit d'une découverte soudaine, mais bien le résultat d'alertes répétées et ignorées sur les failles de sécurité. Après le rapport de l'ANSSI en 2014, un autre audit mené entre 2015 et 2017 a confirmé que les problèmes persistaient, pointant du doigt des « dysfonctionnements techniques » récurrents et une « maintenance négligée ». Malgré ces avertissements clairs, peu de choses ont changé.
Encore en 2025, des documents techniques montraient que huit logiciels critiques n'étaient toujours pas mis à jour. Le cambriolage aura finalement forcé la direction du Louvre et le ministère de la Culture à admettre l'existence de « manquements » et à lancer des mesures d'urgence pour colmater des brèches béantes depuis plus de dix ans.